IT-Sektor: Nicht selbstsicherer als der Rest

Es wäre nicht verwunderlich, wenn jemand aus der Bau- oder Konsumgüterindustrie sagt, er habe Angst vor der Cybersicherheit. Schließlich verfügen Unternehmen in diesen Sektoren über Datenbanken mit sensiblen Kundendaten und haben den Ruf, "weiche Ziele" zu sein - mit ihren technologischen Fähigkeiten sind sie Cyberangreifern, die über viele Tricks und scheinbar nichts als Zeit verfügen, weit unterlegen.

Man könnte jedoch meinen, dass IT- und Technologieunternehmen mit ihren großen Reserven an technischem Talent ihre Datenschutz- und E-Mail-Sicherheitsprotokolle besser im Griff haben und in der Lage sind, Phisher, Spoofers und Ransomware-Erpresser in Schach zu halten.

Die aktuelle Umfrage von Mimecast State of Email Security zeigt, dass die IT-Branche nicht annähernd so gut dasteht, wie man meinen könnte. Tatsächlich geben 47 % der Unternehmen in diesem Sektor an, dass ein Angriff per E-Mail, der sich negativ auf das Geschäft auswirkt, sie in diesem Jahr mit "hoher Wahrscheinlichkeit" treffen wird. Das ist der dritthöchste Grad an Besorgnis unter den 11 von Mimecast untersuchten Branchen. Nur Unternehmen aus dem Dienstleistungssektor und der Medien-, Freizeit- und Unterhaltungsbranche sind noch besorgter.

Warum IT-Unternehmen verwundbar sind

IT, Technologie und Telekommunikation (die Kategorien in dieser Gruppe) stellen einen breiten Sektor dar. Einige Big-Tech-Unternehmen am einen Ende des Spektrums mögen besser gegen Angriffe geschützt sein als ein Startup am anderen Ende. Bestimmte gemeinsame Merkmale von Technologieunternehmen machen sie jedoch zu lohnenden Zielen, darunter:

• Entscheidende Rolle in Software-Lieferketten: Eine cyberkriminelle Gruppe muss es nicht unbedingt auf ein Technologieunternehmen abgesehen haben. Sie könnte es auch auf die Kunden des Technologieunternehmens abgesehen haben, indem sie eines seiner Produkte als Übertragungsmechanismus für ihren bösartigen Code nutzt. Dieser Ansatz wurde bei einer Reihe größerer Angriffe auf die Software-Lieferkette im Jahr 2021 beobachtet.[1]
• Der Schwerpunkt des Technologiesektors liegt auf offenen, kreativen Umgebungen: Die Mitarbeiter von Technologieunternehmen sind sehr gefragt und wehren sich oft gegen Bürokratie. Sie wollen sich nicht vorschreiben lassen, welche Geräte sie nicht benutzen oder welche Apps sie nicht herunterladen dürfen. Unter dem Gesichtspunkt der Produktivität ist die Freiheit, die den Mitarbeitern von Technologieunternehmen gewährt wird, sehr wertvoll. Unter dem Gesichtspunkt der Cybersicherheit kann sie jedoch problematisch sein.[2]
• Der Wert ihres geistigen Eigentums (IP): Code oder andere Vermögenswerte von Informationsunternehmen können eine Art Hauptgewinn sein, wenn sie kompromittiert werden. Versuche, geistiges Eigentum zu stehlen oder zu stören, können von Konkurrenten, staatlichen Akteuren oder Insidern ausgehen.

Cyberattacken schüren Besorgnis und Maßnahmen im IT-Sektor

Die Besorgnis der IT-Branche über Cyberangriffe beruht auf den Erfahrungen der letzten Zeit - insbesondere auf der Häufigkeit, mit der der Sektor im letzten Jahr angegriffen wurde. Achtzig Prozent der von Mimecast befragten Führungskräfte aus den Bereichen IT, Technologie und Telekommunikation gaben an, dass die Zahl der eingehenden E-Mail-Bedrohungen in den letzten zwölf Monaten gestiegen ist - der höchste Prozentsatz aller Branchen.

Die IT-Branche war auch häufiger als der Durchschnitt von Ransomware betroffen, einem Hauptziel von E-Mail-Angriffen. Drei Viertel (74 %) der Tech-Unternehmen haben in irgendeiner Form Lösegeld gezahlt, um ihre Daten wiederherzustellen - der höchste Anteil an Ransomware-Zahlungen in allen Branchen.

Der Bericht zeigt auch, dass Technologieunternehmen an der Abwehr von Angriffen arbeiten.

• Budget: Achtundsiebzig Prozent der Tech-Unternehmen wenden 10 % oder mehr der Mittel ihrer IT-Abteilung für die Cyber-Resilienz auf - das ist weit mehr als der Durchschnitt der Ausgaben in allen Branchen. Ein Drittel der Technologieunternehmen gibt mehr als 20 % aus.
• Verteidigung in der Tiefe: Mehr als die Hälfte (57 %) der Technologieunternehmen hat bereits ein System eingerichtet, das die Mitarbeiter daran hindert, Angriffe und Datenlecks über interne E-Mails in ihrem Unternehmen zu verbreiten. In allen anderen Branchen sind solche Systeme etwas seltener (weniger als 47 % aller Unternehmen nutzen sie).
• Künstliche Intelligenz (KI): Dreiundsechzig Prozent der befragten Tech-Unternehmen nutzen maschinelles Lernen und KI, um die Erkennung von Bedrohungen und andere Aspekte der Cybersicherheit zu verbessern. Das liegt deutlich über dem Durchschnitt von 46 % der Unternehmen, die diese Technologien einsetzen.

Laut dem Bericht sind Technologieunternehmen auch eher als andere Branchen bereit, Schulungen zum Sicherheitsbewusstsein durchzuführen und ihre Cybersicherheitsplattformen zu integrieren, um ihre Bemühungen zur Bekämpfung von Bedrohungen zu automatisieren, zu rationalisieren und zu verbessern.

Wie IT-Unternehmen die Auswirkungen von Cyberangriffen minimieren können

Es gibt kein IT-spezifisches Handbuch für die Abwehr von Cyberbedrohungen. Das Cybersecurity Framework des National Institute of Standards and Technology ( ) enthält einige bewährte Verfahren, die Organisationen jeder Art nutzen können, um ihre Cyber-Resilienz zu stärken.[3] Wenn Sie eine Führungskraft für Cybersicherheit in der Tech-Branche sind, sind die folgenden Praktiken besonders wichtig:

• Setzen Sie Prioritäten bei den Informationswerten. Nicht alle Daten sind gleich wichtig. Wenn Ihr Unternehmen Unternehmen bei der Nutzung von künstlicher Intelligenz und anderen fortschrittlichen Technologien unterstützt, ist Ihr Softwarecode möglicherweise das, was Sie am meisten schützen müssen. Ein Technologieunternehmen, das sich an Verbraucher wendet, ist dagegen vielleicht am meisten über die Anfälligkeit seiner Kundendatenbanken besorgt. Bestimmen Sie den Grad des Risikos, den Sie bereit sind, für Ihre verschiedenen Vermögenswerte einzugehen. Dies ist der erste Schritt zur Festlegung wirksamer Cybersicherheitsrichtlinien.
  
• Machen Sie die Cybersicherheit zu einer unternehmensweiten Aufgabe. Viele Schwachstellen in Unternehmen, sowohl im Technologiebereich als auch in anderen Sektoren, sind auf Fehler von Mitarbeitern zurückzuführen, z. B. wenn jemand eine infizierte E-Mail öffnet oder eine gefälschte Website besucht. Sie können die Häufigkeit dieser Probleme durch Sensibilisierungsschulungen verringern - auch in Bereichen wie Phishing. Ihre externen Vertragspartner sollten die gleiche Schulung erhalten, wenn sie für Sie eine Schwachstelle darstellen.
  
• Betrachten Sie die Cybersicherheit in ihrer gesamten Umgebung. Unternehmen neigen dazu, nach Sicherheitslücken dort zu suchen, wo sie zuletzt aufgetreten sind. Das ist verständlich, aber Sie müssen Ihre gesamte Umgebung betrachten. Probleme können in Ihren Netzwerken, bei der gemeinsamen Nutzung von Daten und der Codierung durch Ihre Programmierer in der Cloud, in Ihren E-Mail- oder Endpunkt-Sicherheitsprotokollen und sogar in der Art und Weise, wie Sie die physische Sicherheit handhaben, auftreten.
  
• Verfolgen Sie einen proaktiven, nicht reaktiven Ansatz bei Bedrohungen. Es ist wichtig, Pläne für die Reaktion auf Zwischenfälle zu haben, die die Geschäftskontinuität und die Wiederherstellung im Katastrophenfall abdecken, aber noch besser ist es, wenn Sie solche Pläne gar nicht erst in Kraft setzen müssen. Verfolgen Sie die Spyware, die Spoofs, die Malware und die Möchtegern-Ransomware-Angriffe, die auf Sie zukommen - am häufigsten per E-Mail. Indem Sie diese Art der Überwachung verbessern, entwickeln Sie eine Fähigkeit im wichtigen Bereich der Bedrohungserkennung. Das wird Ihnen helfen, sich aus Schwierigkeiten herauszuhalten.

Die Quintessenz

Das technologische Know-how von IT-Unternehmen schützt sie nicht vor Cyberangriffen. Ganz im Gegenteil: Etwa die Hälfte der Cybersecurity-Führungskräfte in der Branche hält es für "sehr wahrscheinlich", dass sie im Jahr 2022 von einem schädlichen E-Mail-Angriff betroffen sein werden. Eine neue Mimecast-Umfrage unterstreicht den Grad ihrer Besorgnis und Vorbereitung.

[1] "Software Supply Chain Attacks Tripled in 2021," Security Week

[2] "Global Cyber Executive Briefing: Hochtechnologie," Deloitte

[3] "Organizational cyber maturity: a survey of industries," McKinsey